Cybersicherheit im industriellen Umfeld: Bedrohungen und Schutzmaßnahmen

Nirgendwo sind sie höher als in industriellen Umgebungen, in denen ihr möglicherweise mit kritischer Infrastruktur arbeitet. Für böswillige Akteure sind diese Systeme riesige Zielscheiben.

In diesem Blogbeitrag fasse ich die verschiedenen Aspekte und Herausforderungen zusammen, mit denen wir als Gesellschaft und diejenigen von uns in verantwortungsvollen Tech-Positionen konfrontiert sind. Ich will euch nichts vormachen: Es ist sehr leicht, ein düsteres Bild zu zeichnen. Zum Schluss zeige ich jedoch Maßnahmen auf, mit denen Unternehmen ihre kritische Infrastruktur schützen können.

Beginnen wir aber von vorn und skizzieren kurz, was industrielle Steuerung umfasst:

3 Konzepte der industriellen Steuerung

Über Cyber Security im Bereich industrieller Steuerung können wir nicht sprechen, ohne zunächst diese Konzepte zu erläutern.

Internet of Things (IoT)

Damit sind wir alle vertraut: Smarte Geräte, die mit einem Netzwerk verbunden sind, um Informationen zu senden oder zu empfangen, ohne ein herkömmlicher Computer zu sein. Fernseher, Kühlschränke, Kameras, Sensoren …

Diese Geräte sind häufig von Sicherheitsproblemen betroffen. Command Injection, schwache Authentifizierung und fehlende Verschlüsselung sind gängige Beispiele.

Operational Technology (OT)

Das sind Hardware und Software, die durch die direkte Überwachung und/oder Steuerung industrieller Anlagen Veränderungen bewirken. Dazu gehören:

• speicherprogrammierbare Steuerungen

• Systeme zur Überwachung, Steuerung und Datenerfassung (SCADA)

• verteilte Steuerungssysteme

speicherprogrammierbare Steuerungen

Systeme zur Überwachung, Steuerung und Datenerfassung (SCADA)

verteilte Steuerungssysteme

All diese Systeme werden häufig in Fertigungsstraßen und kritischer Infrastruktur eingesetzt, etwa in Raffinerien, Kraftwerken und Wassermanagementsystemen. Manchmal werden sie als „IT in Bereichen ohne Teppichboden“ bezeichnet.

Industrial IoT (IIoT)

Smarte Geräte werden in unseren Haushalten und Büros immer alltäglicher, finden aber auch ihren Weg in industrielle Umgebungen und die Infrastruktur.

Sensoren in Smart Factories und Edge-Systeme auf Smart Ships sind gute Beispiele für IIoT, an denen einige unserer Kunden hier bei Eficode arbeiten.

IIoT ist dort, wo OT auf IoT trifft: Operational Technology, die für den Betrieb kritischer Systeme konzipiert ist, kombiniert mit der Konnektivität, die ihr benötigt, um diese Systeme aus der Ferne zu überwachen und zu steuern.

Schauen wir uns nun die aktuellen Cyber-Security-Herausforderungen in diesen Bereichen an.

Herausforderung 1: Alte Systeme treffen auf neue

In kaum einem Geschäftsbereich muss ein längerer Zeitraum für Entwicklung, Deployment und Tooling berücksichtigt werden als bei kritischer Infrastruktur.

Helsinki in Finnland installierte beispielsweise 1871 sein erstes Stromnetz. Obwohl es seitdem sicherlich umfassend modernisiert wurde, findet ihr dort vermutlich viel Software, die älter als zwanzig Jahre ist und auf Hardware läuft, die dreißig Jahre oder älter ist.

Wenn ihr im Energiesektor arbeitet, steht ihr vor der wenig beneidenswerten Aufgabe, Systeme zu vernetzen und abzusichern, die ursprünglich nie für eine Vernetzung vorgesehen waren.

Während Legacy-Systeme mit modernen Technologien verschmelzen und IoT zunehmend auf OT trifft, verändert ein eigenartiger, Frankenstein-artiger Wandel hin zum IIoT die Technologielandschaft kritischer Infrastruktur.

Herausforderung 2: Langsame Anpassung an Veränderungen

In Bereichen mit kritischer Infrastruktur wie Energieversorgung, Medizin, Finanzwesen und Strafverfolgung erlebt ihr ebenso rasante technologische Veränderungen wie der Rest der Gesellschaft.

Während IoT in unsere Haushalte vordringt – mit einer Verbreitungsrate von fast 42 % in den USA –, setzt sich IIoT in der Welt kritischer Infrastruktur durch.

Laut Dr. Stephan Lechner von der Europäischen Kommission, der die Sicherheitsinitiative im Energiesektor leitet, ist Cybersicherheit wie das Geländer an unserem Laufband. Wenn das Tempo steigt, sorgt Cybersicherheit dafür, dass wir auf Kurs bleiben. Der Energiesektor arbeitet noch daran, echte Angriffe zuverlässig zu erkennen und angemessen darauf zu reagieren.

Der Grund dafür ist, dass diese Bereiche kritischer Infrastruktur Veränderungen in der Vergangenheit nur zögerlich angenommen haben. Sie passten sich Fortschritten bei den unterstützenden Technologien nur langsam an. So entsteht die zunehmende Lücke bei der Cybersicherheit.

Die ernüchternde Tatsache ist: Kritische Infrastruktur wie das Gesundheitswesen und der Energiesektor ist verwundbar und wurde bereits angegriffen:

• Wannacry-Ransomware trifft britische Krankenhäuser

• Der Auftakt zur Invasion der Ukraine: Cyberangriffe auf Infrastruktur

Wannacry-Ransomware trifft britische Krankenhäuser

Der Auftakt zur Invasion der Ukraine: Cyberangriffe auf Infrastruktur

Je mehr dieser kritischen Systeme online gehen, desto größer wird die Angriffsfläche.

Kurz gesagt: Kritische Infrastruktur wurde angegriffen. Sie wird auch künftig ein Ziel sein. Und irgendwann wird sie kompromittiert werden.

Herausforderung 3: Es fehlt an Erfahrung

Erfahrung lässt sich nicht ersetzen. Wargames, theoretische Angriffsmodelle und Szenarien reichen allesamt nicht an einen tatsächlichen Angriff heran.

Das wird bei Russlands Invasion der Ukraine auf bedrückende Weise deutlich. Wenn ihr wissen wollt, wer am besten mit russischer Cyberaggression umgeht, schaut auf die Ukraine. Anders als andere Länder führt sie keine Simulationen durch und entwickelt keine Szenarien: Sie ist täglich mit der Realität solcher Angriffe konfrontiert.

Um Angreifern in den kommenden Jahren einen Schritt voraus zu sein, wird es entscheidend sein, die Lücke bei Erfahrung und Wissen im IoT- und industriellen Steuerungsumfeld zu schließen.

Den Kipppunkt, an dem Cyberaggression herkömmliche Angriffe beim Ausschalten kritischer Infrastruktur überholt, haben wir noch nicht erreicht. Doch angesichts der Zunahme kommt er schneller, als wir erwarten.

Wie IIoT-Bedrohungen zunehmen

IoT-Geräte werden aus zwei Hauptgründen für Hacker immer interessanter:

IoT-Geräte sind überall

Sie sind in Haushalten, am Arbeitsplatz, in Smart-Kühlschränken, Smart-TVs, Smart Homes und Smart Factories immer weiter verbreitet. Ihre Reichweite wächst mit jedem Jahr, sodass die Bereitstellung von IoT-Geräten inzwischen die von Nicht-IoT-Geräten zu übertreffen beginnt. Wir erwarten, dass sich dieser Trend in den kommenden Jahren fortsetzt.

IoT-Geräte werden leistungsfähiger

IoT-Geräte waren früher klein und eher leistungsschwach. Sie verfügten nur über die notwendigen Ressourcen, kleine Prozessoren und wenig Speicherplatz.

Doch heute trifft das nicht mehr zu.

Es gibt Geräte wie den Jetson TX2. Der TX2 wurde entwickelt, um AI-Anwendungen an Edge-Standorte zu bringen, und verfügt über eine NVIDIA-Pascal-Architektur mit 256 Kernen und 8 GB Speicher. Damit eignet er sich für Anwendungen wie das Mining von Kryptowährungen. Die jüngsten Einbrüche bei Kryptowährungen haben dieses Problem möglicherweise vorübergehend etwas entschärft, doch Rechenleistung lässt sich auch anders nutzen.

IoT-Geräte sind zunehmend verbreitet, insbesondere in einem Bereich der kritischen Industrie:

der Medizinbranche. Sie zählt zu den Branchen mit den höchsten Investitionen in IoT: 86 % der medizinischen Einrichtungen nutzen IoT-Diagnosetools in irgendeiner Form. Im Jahr 2021 gab es Bedrohungen für Systeme mit Patientenakten, Steuerungssysteme für Defibrillatoren und AI-Diagnosesysteme.

Dies ist einer der wichtigsten Bereiche, in denen Cybersecurity-Bedrohungen Menschenleben gefährden können.

So schützt ihr euch vor Cyberangriffen im industriellen Umfeld

Wenn ihr im Bereich industrieller Steuerungssysteme tätig seid und mehr über euren Stand bei der Cybersecurity erfahren möchtet, stellt euch die folgenden drei Fragen.

Wie handhabt ihr die Verschlüsselung?

Ein erstaunlich großer Anteil der Datenspeicherung und Datenübertragung im IIoT-Umfeld ist unverschlüsselt. Habt ihr euch schon gefragt, wie ihr die Datenspeicherung handhabt?

• Sind die Daten verschlüsselt? Falls ja: Nutzt ihr eine starke Verschlüsselung und befolgt ihr Best Practices?

• Wie sieht es bei der Übertragung aus? Nutzt ihr TLS oder eine andere Verschlüsselung, wenn eure Daten übertragen werden?

Sind die Daten verschlüsselt? Falls ja: Nutzt ihr eine starke Verschlüsselung und befolgt ihr Best Practices?

Wie sieht es bei der Übertragung aus? Nutzt ihr TLS oder eine andere Verschlüsselung, wenn eure Daten übertragen werden?

Wie überwacht ihr eure verteilten IIoT-Geräte?

Eine der größten Schwachstellen des IIoT ist die physische Verteilung. Diese Geräte lassen sich nicht auf herkömmliche Weise absichern, also in einem verschlossenen Serverschrank unterbringen. Sie müssen häufig an frei zugänglichen Orten installiert werden.

Fragt euch:

• Wie überwacht ihr die Geräte selbst?

• Könnt ihr erkennen, wenn ein Gerät ausfällt? Oder wenn es physisch manipuliert wird?

• Wisst ihr, welche Prozesse auf euren Geräten laufen?

• Könnt ihr erkennen, wenn ein bösartiger Prozess gestartet wird, der euer IIoT-Gerät einem Botnet hinzufügt?

Wie überwacht ihr die Geräte selbst?

Könnt ihr erkennen, wenn ein Gerät ausfällt? Oder wenn es physisch manipuliert wird?

Wisst ihr, welche Prozesse auf euren Geräten laufen?

Könnt ihr erkennen, wenn ein bösartiger Prozess gestartet wird, der euer IIoT-Gerät einem Botnet hinzufügt?

Wie gut kennt ihr eure Netzwerke?

IIoT leidet in mehrfacher Hinsicht unter dem Mangel an traditioneller Infrastruktur. Herkömmliche Geräte wie Server werden auf bestimmte Weise mit Netzwerken verbunden, verfügen über festgelegte Verkabelungen und befinden sich hinter verschlossenen Türen an gesicherten Standorten.

Bei IIoT-Geräten, die an Orten verteilt sein können, an denen sich herkömmliche Verkabelung nur schwer verlegen lässt, ist drahtloser Zugang die Regel. Doch dadurch vergrößert sich die Angriffsfläche in mehrfacher Hinsicht. Daher:

• Wie ist euer Netzwerk eingeschränkt?

• Nutzt ihr Whitelisting auf Basis physischer MAC-Adressen?

• Ist das Netzwerk, mit dem sich eure IoT-Geräte verbinden, speziell dafür vorgesehen, oder verbinden sie sich mit universellen Access Points?

• Authentifizieren sich Nutzer über ein Passwort oder über eine Form der zertifikatbasierten Authentifizierung?

• Überwacht ihr die aktiven Geräte, die mit diesem Netzwerk verbunden sind?

• Könnt ihr unbekannte und nicht autorisierte Geräte entfernen?

Wie ist euer Netzwerk eingeschränkt?

Nutzt ihr Whitelisting auf Basis physischer MAC-Adressen?

Ist das Netzwerk, mit dem sich eure IoT-Geräte verbinden, speziell dafür vorgesehen, oder verbinden sie sich mit universellen Access Points?

Authentifizieren sich Nutzer über ein Passwort oder über eine Form der zertifikatbasierten Authentifizierung?

Überwacht ihr die aktiven Geräte, die mit diesem Netzwerk verbunden sind?

Könnt ihr unbekannte und nicht autorisierte Geräte entfernen?

Zusammenfassung

Cyber Security im IIoT steckt noch in den Kinderschuhen. Einfache Angriffsvektoren, die bei etablierteren, traditionellen Systemen ein K.-o.-Kriterium wären, werden sowohl in IoT-Geräten für Endverbraucher als auch in industriellen IoT-Geräten häufig mitgeliefert.

Da sich IIoT zunehmend auf Bereiche kritischer Industrien wie den medizinischen Sektor oder Steuerungssysteme für die Energieversorgung ausweitet, könnten Anbieter, die Cyber Security nicht zu einem ihrer Grundprinzipien machen, später Schwierigkeiten haben, aufzuholen.

Was wäre ein besserer Abschluss als das folgende Zitat von Richard Adler vom Institute for the Future: „Trotz anhaltender Sicherheitsprobleme wird sich das IoT weiter verbreiten, und die Menschen werden zunehmend davon abhängig werden. Die Kosten von Sicherheitsverletzungen werden ähnlich gesehen werden wie die Folgen von Autounfällen, die schließlich auch nur sehr wenige Menschen davon abgehalten haben, Auto zu fahren.“